Authorization removed (ARCH8203)

Anahtar kotlin.security.authorization-removed · Önem error · Kategori security · CWE CWE-862

Yalnız merge request’lerde. Değişen her endpoint’i hedef daldaki haliyle karşılaştırır ve korumasını kaybedeni işaretler: Spring controller’larında handler’dan ya da sınıfından kaldırılan @PreAuthorize, @PostAuthorize, @Secured ya da @RolesAllowed, eklenen @PermitAll / permitAll(); Spring Security yapılandırmasında yeni permitAll() verilen ya da yok sayılan yol; Ktor’da authenticate { } içinde çalışırken artık çalışmayan route (dışarı taşınan, bloğu optional yapılan ya da Route fonksiyonu artık içinde çağrılmayan). Deponun Spring’inkilerden birini taşıyan kendi annotation’ları tanınır; bu projenin adları kullanılmaz. Açık bir endpoint tek başına bulgu değildir; onu açan değişiklik bulgudur, değişikliğin kendi eklediği endpoint ise yenidir, açılmış sayılmaz.

Yanlış

@RestController
@RequestMapping("/orders")
class OrderController(private val orders: OrderService) {
    @PreAuthorize("hasRole('ADMIN')")
    @DeleteMapping("/{id}")
    fun delete(@PathVariable id: Long) = orders.delete(id)
}

Doğru

@RestController
@RequestMapping("/orders")
class OrderController(private val orders: OrderService) {
    @PreAuthorize("hasRole('ADMIN')")
    @DeleteMapping("/{id}")
    fun delete(@PathVariable id: Long) = orders.delete(id)
}